SPF-Eintrag: warum Ihre Mails ohne Absenderschutz im Spam landen

Ein SPF-Eintrag ist eine kurze Zeile in den DNS-Einstellungen Ihrer Domain. Sie legt fest, welche Server Mails mit Ihrer Absenderadresse verschicken dürfen. Fehlt sie oder ist sie falsch, landen Ihre Angebote und Rechnungen im Spam, und Betrüger können Mails in Ihrem Namen verschicken. Seit Google, Yahoo und Microsoft ihre Regeln verschärft haben, ist SPF zusammen mit DKIM und DMARC keine Kür mehr, sondern Voraussetzung dafür, dass Mails überhaupt ankommen.

Das Wichtigste in Kürze

• SPF (Sender Policy Framework) listet die Server auf, die für Ihre Domain senden dürfen. Der Empfänger prüft das bei jeder eingehenden Mail.
• SPF allein reicht nicht. Erst mit DKIM (digitale Signatur) und DMARC (Regel, was mit gefälschten Mails passiert) ist eine Domain wirklich abgesichert.
• Gmail und Yahoo verlangen das seit Februar 2024, Microsoft weist Massenmails ohne diese Einträge seit Mai 2025 ab, Gmail verschärft die Durchsetzung seit November 2025.
• Von den 250 umsatzstärksten deutschen Unternehmen hatten im August 2026 nur 55 Prozent eine wirksame DMARC-Regel, 12 Prozent gar keine.
• Auch eine Domain, die nie Mails verschickt, braucht Schutz: sonst ist sie ideal für Betrüger.

Was ist SPF, einfach erklärt?

Stellen Sie sich vor, jeder könnte einen Brief mit Ihrem Firmenlogo und Ihrer Absenderadresse in den Briefkasten werfen. Genau so funktioniert E-Mail ursprünglich: Die Absenderadresse ist nur ein Textfeld, das jeder ausfüllen kann. SPF ist die Liste an der Haustür, auf der steht, welche Boten wirklich für Sie unterwegs sind. Der empfangende Mailserver schaut bei jeder Mail nach, ob der einliefernde Server auf dieser Liste steht.

Technisch ist SPF ein TXT-Eintrag im DNS Ihrer Domain. Er beginnt immer mit v=spf1, danach folgen die erlaubten Absender, zum Beispiel Ihr Mailanbieter, Ihr Newsletter-Dienst oder der Webserver, der Ihre Kontaktformular-Mails verschickt. Am Ende steht eine Anweisung, was mit allen anderen passieren soll. Genau dieses Ende entscheidet, ob der Eintrag schützt oder nur Dekoration ist.

SPF, DKIM und DMARC: warum es alle drei braucht

SPF hat eine Schwäche: Es prüft nur den Server, der die Mail technisch einliefert, nicht die Adresse, die Ihre Kunden im Postfach sehen. Ein Fälscher kann also eine Mail über seinen eigenen, korrekt eingerichteten Server schicken und trotzdem Ihren Namen in das sichtbare Absenderfeld schreiben. Deshalb gibt es zwei Ergänzungen.

• DKIM setzt eine digitale Signatur in jede Mail. Der Empfänger prüft sie mit einem öffentlichen Schlüssel aus Ihrem DNS. Wird die Mail unterwegs verändert oder stammt sie nicht von Ihnen, passt die Signatur nicht.
• DMARC verbindet beides mit der sichtbaren Absenderadresse und legt fest, was mit Mails passiert, die durchfallen: nichts (p=none), Spam-Ordner (p=quarantine) oder Ablehnung (p=reject). Dazu kommen Berichte, die Ihnen zeigen, wer in Ihrem Namen sendet.

Warum der Markt das jetzt erzwingt

Jahrelang war Absenderschutz eine Empfehlung, die viele ignoriert haben. Das hat sich geändert, und zwar nicht durch ein Gesetz, sondern durch die großen Postfachanbieter. Wer Gmail, Yahoo oder Outlook nicht erreicht, erreicht einen großen Teil seiner Kunden nicht. Damit haben drei Unternehmen faktisch einen Standard für alle gesetzt.

Die Grenze von 5.000 Mails klingt nach Großversender. Die Regel für alle Absender, also mindestens SPF oder DKIM, gilt aber auch für den Handwerksbetrieb, der drei Angebote am Tag verschickt. Dazu kommt ein Effekt, den viele unterschätzen: Die Spamfilter bewerten Domains ohne Absenderschutz schlechter, egal wie wenig sie senden. Eine Rechnung, die im Spam landet, wird nicht bezahlt, und ein Angebot, das nicht ankommt, wird nicht angenommen.

Wie gut sind deutsche Unternehmen aufgestellt?

Wenn schon bei den größten Unternehmen fast die Hälfte keinen wirksamen Schutz hat, sieht es bei kleinen Betrieben in der Regel nicht besser aus. Weltweit ist der Abstand noch größer: Eine Auswertung von DMARCguard über 5,5 Millionen Domains fand im Februar 2026 bei 30,4 Prozent überhaupt einen DMARC-Eintrag und nur bei 12,8 Prozent eine Regel, die Fälschungen tatsächlich stoppt.

Was passiert, wenn Ihre Domain offen ist

Im Oktober 2026 hatte ich einen Fall, der das gut zeigt. Ein Betrieb bekam Anrufe von Leuten, die auf ein Angebot reagierten, das er nie verschickt hatte. Absender war seine eigene Adresse, Logo und Ton passten. Die Domain hatte weder eine strenge SPF-Regel noch DMARC, für die Betrüger war das die einfachste Tür. Solche Fälschungen zielen fast immer auf Geld: geänderte Kontonummern auf Rechnungen, Vorkasse für Aufträge, die es nicht gibt, oder Links zu gefälschten Anmeldeseiten.

Die häufigsten SPF-Fehler aus meiner Praxis

Der Fehler mit den zwei Einträgen ist der Klassiker. Er entsteht fast immer, wenn ein neuer Dienst eingerichtet wird, etwa ein Newsletter-Tool, und dessen Anleitung sagt: Legen Sie diesen SPF-Eintrag an. Wer das wörtlich nimmt, hat danach zwei, und der Empfänger wertet beide als Fehler. Richtig ist, den neuen Dienst in den bestehenden Eintrag einzufügen.

So prüfen und reparieren Sie Ihre Domain

• 1. Ist-Stand prüfen: Mit einem kostenlosen Prüfwerkzeug wie dem SPF- und DMARC-Check von MXToolbox sehen Sie in Sekunden, ob Einträge vorhanden und gültig sind.
• 2. Alle Absender sammeln: Wer verschickt Mails mit Ihrer Domain? Postfach, Kontaktformular, Shop, Newsletter, Rechnungsprogramm, Terminbuchung, CRM.
• 3. SPF zusammenführen: Ein einziger Eintrag mit allen Absendern, am Ende ~all oder -all.
• 4. DKIM einschalten: Bei den meisten Mailanbietern und Newsletter-Diensten ist das ein Schalter plus ein DNS-Eintrag, den der Anbieter vorgibt.
• 5. DMARC anlegen: Mit Berichtsadresse beginnen. Wenn die Berichte zeigen, dass alle echten Mails durchkommen, auf quarantine und später auf reject umstellen.
• 6. Unbenutzte Domains abdichten: v=spf1 -all und p=reject, fertig.

Wichtig: Die Verantwortung für die DNS-Einträge trägt der Inhaber der Domain, also in der Regel Sie selbst oder Ihr Unternehmen, auch wenn ein Dienstleister die Einträge setzt. Lassen Sie sich nach jeder Änderung bestätigen, was eingetragen wurde, und heben Sie diese Bestätigung auf. Wie DNS, Domain und Zertifikat grundsätzlich zusammenhängen, habe ich im Beitrag DNS, Domain und SSL einfach erklärt beschrieben.

Sie wollen das nicht selbst im DNS einstellen? Bei meiner Website-Betreuung prüfe ich SPF, DKIM und DMARC aller Domains mit und gleiche sie ab, sobald ein neuer Dienst dazukommt. Für einen einmaligen Check schreiben Sie mir über die Kontaktseite.

Dieser Beitrag gibt technische Hinweise nach bestem Wissen zum Stand 22. Oktober 2026 und ersetzt keine Rechtsberatung. Die Regeln der Postfachanbieter können sich ändern, maßgeblich sind jeweils deren aktuelle Vorgaben.